Где применити NSG за Azure VPN саобраћај од локације до локације

Тунел од локације до локације је активан, локални клијент достиже неке Azure хостове, а друге не, и неко је додао мрежну безбедносну групу на GatewaySubnet да то поправи. Зауставите се ту. Azure не подржава NSG на GatewaySubnet-у, и група не види унутрашњи пакет као правило радног оптерећења. Ставите правило на одредишну подмрежу или NIC, ускладите изворну адресу која постоји након дешифровања и затим проверите новом, а не старом везом.

Поставите NSG тамо где га Azure процењује

Подржана граница за филтрирање радног оптерећења је одредишна подмрежа или одредишно мрежно сучеље. Подмрежа приступника је инфраструктура и Azure документује да NSG тамо није подржан и може наудити раду приступника.

Постоји и логички проблем са постављањем. NSG на GatewaySubnet-у процењивао би спољну IPsec размену, чије адресе припадају двама приступницима. Ваше правило апликације треба приватни извор унутар тунела, а тај пакет постоји тек након што га приступник дешифрује. Причврстите групу на подмрежу радног оптерећења и правило види адресу за коју је написано.

Проверите тренутне асоцијације пре било какве промене, да знате шта премештате:

az network vnet subnet show -g rg-net -n snet-app --vnet-name vnet-prod --query networkSecurityGroup.id
az network vnet subnet show -g rg-net -n GatewaySubnet --vnet-name vnet-prod --query networkSecurityGroup.id

Пронађите изворну адресу након дешифровања

Унутрашњи извор је приватна адреса локалног клијента или адреса коју уређај или VPN NAT представља након превођења. То није јавна адреса локалног VPN приступника, која припада спољној размени.

Када је NAT део дизајна, потврдите представљени извор уместо да га претпостављате. Снимање пакета на Azure VM-у или поље извора у дневнику веза услуге решава питање брже од читања локалне конфигурације. Затим напишите правило према тој адреси и стварном одредишном порту.

az network nsg rule create -g rg-net --nsg-name nsg-app -n allow-onprem-https --priority 200 --direction Inbound --access Allow --protocol Tcp --source-address-prefixes 192.168.10.0/24 --destination-address-prefixes 10.1.2.0/24 --destination-port-ranges 443

Користите једно правило по услузи коју намеравате да изложите и држите листу портова кратком. Правило које дозвољава све портове из локалног опсега претвара NSG у формалност.

Проверите подразумевани опсег VirtualNetwork

Ознака услуге VirtualNetwork шира је од локалне виртуелне мреже. Њена дефиниција укључује повезане локалне адресне просторе, мреже повезане peering-ом и друге префиксе повезане приступником. Зато подразумевано правило дозволе ограничено на VirtualNetwork већ може дозволити саобраћај тунела који је оператер сматрао спољним.

Прочитајте подразумевана правила пре додавања уских и прочитајте свако правило вишег приоритета које се може прво подударити. Додавање изричите дозволе не уклања шире правило које ток већ дозвољава. Где политика захтева забрану, поставите је на приоритет који се стварно процењује пре дозволе.

Microsoft-ова документација о ознакама услуга наводи шта ознака VirtualNetwork покрива и то је референца на коју се позивате када неко тврди да ознака значи само опсег VNet.

Прочитајте ефективна правила на обе границе

Када се примењују и NSG подмреже и NSG NIC-а, ток мора да задовољи оба. Дозвола у једном не поништава забрану у другом, а управо збирни приказ пакет стварно сусреће.

az network nic show-effective-nsg -g rg-net -n vm-app-nic -o table

Ако су у игри безбедносна администраторска правила Azure Virtual Network Manager-а, прегледајте и тај слој. Администраторско правило Always allow може да достави саобраћај без процене NSG-а, док га администраторско Deny зауставља пре него што га NSG-ови виде. Преглед само NSG-а није потпун за такав распоред.

Запамтите да NSG-ови чувају стање. Уређивање правила не прекида нужно постојећу дозвољену везу, па прихватни тест тражи свеж ток. То својство је корисно у продукцији, а обмањујуће током прозора промена.

Проверите свежом везом

Отворите нову сесију са локалног клијента на порт услуге, затим то поновите са хоста коме треба бити одбијен приступ. Покрените тест тока и са стране VM-а, да знате да је повратни пут исправан.

az network watcher test-ip-flow -g rg-net --vm vm-app --direction Inbound --protocol Tcp --local 10.1.2.4:443 --remote 192.168.10.50:51515

NSG дозвола је једна одлука о приступу, није рута и није слушалац. Ако правило дозвољава ток, а веза и даље не успева, проверите руту клијента у VPN, Azure повратну руту и заштитни зид хоста пре него што поново уредите групу. Забележите стварну изворну адресу, асоцијације NSG-а и одговарајуће правило уз одобрену услугу, јер следећа промена peering-а или руте може променити шта ознака VirtualNetwork покрива.